Szef BBN: Zwróciłem się do właściwych instytucji o informacje ws. wycieków danych z firmy MyDr

Szef Biura Bezpieczeństwa Narodowego, Bartosz Grodecki, poinformował w piątek, że zwrócił się do właściwych instytucji o informacje ws. incydentów związanych z wyciekami danych pacjentów z firmy MyDr. Dodał, że trzeba ustalić rzeczywistą skalę sierpniowego wycieku oraz „co państwo zrobiło z wiedzą” o incydencie z 2024 r.

W piątkowym wpisie na platformie X Bartosz Grodecki przywołał dwa incydenty związane z prywatną firmą MyDr, dostarczającą system elektronicznej dokumentacji medycznej dla gabinetów lekarskich i przychodni w Polsce. Jedna ze spraw dotyczy cyberataku na firmę z połowy sierpnia, w wyniku którego wyciekły dane 19 mln Polaków, m.in. o lekach i receptach. Dane, które wyciekły dotyczą 12 tys. podmiotów medycznych, które korzystały z platformy MyDr. O drugim, wcześniejszym incydencie z 2024 r., informował w poniedziałek portal Niezależna.pl. Jak podano, między 18 a 27 marca 2024 roku za pośrednictwem systemu MyDr nielegalnie pozyskano dane milionów osób.

Prokuratura Regionalna w Poznaniu potwierdziła we wtorkowym w komunikacie, że Samodzielny Dział do Spraw Cyberprzestępczości i Informatyzacji tej jednostki nadzoruje śledztwo w tej sprawie.

Bartosz Grodecki podkreślił w piątkowym wpisie, że przy takiej skali nie wystarczy skuteczna reakcja służb i że trzeba również ustalić, co państwo zrobiło z wiedzą zdobytą po incydencie z 2024 roku i jakie działania podjęto przed sierpniem 2026 roku.

„Dlatego zwróciłem się do właściwych instytucji o informacje dotyczące obu zdarzeń” – napisał szef BBN.

Dwa poważne incydenty związane z MyDr. W 2024 roku w sposób nieuprawniony pozyskano dane ponad 13 mln osób. Obecnie mówimy o wycieku danych, który potencjalnie dotyczy nawet 18,8 mln osób i ponad 12 tys. placówek medycznych. Wśród informacji objętych incydentem są również dane…

— Bartosz Grodecki (@BartoszGrodecki) August 21, 2026

Bartosz Grodecki zwrócił się w tej sprawie z pismem do Ministerstwa Cyfryzacji.

W piątkowym wpisie szef BBN zapytał o to, kto został poinformowany o incydencie z 2024 roku, jakie wnioski wtedy wyciągnięto i jakie zalecenia wydano, a także – kto odpowiadał za ich wdrożenie, co zostało zrealizowane przed sierpniem 2026 roku i kto zweryfikował skuteczność tych działań.

Według niego trzeba również ustalić rzeczywistą skalę obecnego incydentu i wskazać, kiedy osoby objęte naruszeniem będą mogły jednoznacznie sprawdzić, czy dotyczy ono właśnie ich.

„Jeśli po ponad dwóch latach państwo nie potrafi dziś wskazać, co faktycznie zmieniono i z jakim skutkiem, trudno mówić o poważnej i właściwej reakcji na masowe naruszenie bezpieczeństwa” – ocenił Bartosz Grodecki.

Prowadzone przez Prokuraturę Regionalną w Poznaniu śledztwo w sprawie incydentu z 2024 r. jest na końcowym etapie, a – jak informowała w komunikacie prokuratura – podjęte działania doprowadziły do odzyskania całej bazy danych nielegalnie uzyskanych z Narodowego Funduszu Zdrowia.

Dochodzenie w sprawie sierpniowego incydentu, prowadzone przez Centralne Biuro Zwalczania Cyberprzestępczości, nadzoruje z kolei Prokuratura Okręgowa w Warszawie. Dotyczy ono uzyskania dostępu do systemu informatycznego MyDr oraz przechowywanych na serwerach spółki informacji przez nieustaloną i nieuprawnioną do tego osobę, która wcześniej przełamała albo ominęła zabezpieczenia, a następnie ujawniła części uzyskanych w ten sposób informacji innym osobom, poprzez przesłanie wycinka danych do serwisu „Zaufana Trzecia Strona”. Grozi za to do trzech lat więzienia.

Informacje, które wyciekły, obejmują dane osobowe pacjentów podmiotów świadczących usługi medyczne i będących klientami MyDr – w tym imiona, nazwiska, numery PESEL, numery telefonów, adresy poczty elektronicznej oraz dane dotyczące stanu zdrowia, jak treść notatek z wizyt lekarskich czy informacji o wystawionych receptach.

Ministerstwo Zdrowia informowało w ubiegłym tygodniu, że Centrum e-Zdrowia pozostaje we współpracy ze służbami koordynującymi zadania związane z wyjaśnieniem incydentu i wspiera działania mające na celu ograniczenie jego potencjalnych skutków. Resort wskazywał, że nie doszło do naruszenia bezpieczeństwa centralnych usług e-zdrowia.

„Incydent dotyczący firmy MyDr nie wpływa na dostęp pacjentów do świadczeń zdrowotnych, recept czy usług realizowanych w publicznym systemie zdrowia” – zaznaczył resort zdrowia.

Ministerstwo zaleca, niezależnie od okoliczności incydentu, stosowanie podstawowych zasad cyberbezpieczeństwa, w tym m.in. zastrzeżenie numeru PESEL, np. za pośrednictwem aplikacji mObywatel; stosowanie silnych i unikalnych haseł do poszczególnych usług; korzystanie z uwierzytelniania wieloskładnikowego (MFA) oraz zachowanie ostrożności wobec wiadomości e-mail, SMS-ów i połączeń telefonicznych nakłaniających do podawania danych.

Wiceminister cyfryzacji, Dariusz Standerski, zapowiedział, że przyszłym tygodniu zaproponowane zostaną konkretne rozwiązania ustawowe dotyczące nowych obowiązków dla podmiotów masowo przetwarzających dane.

PAP